資格道場
情報セキュリティマネジメント試験「セキュリティ基礎・脅威・脆弱性」の一問一答
📖 情報セキュリティマネジメント試験「セキュリティ基礎・脅威・脆弱性」の全88問と解説（一覧）
情報セキュリティマネジメント試験のセキュリティ基礎・脅威・脆弱性に関する一問一答（全88問）の正解と解説の一覧です。上の一問一答で実際に解いてから、ここで復習・確認できます。
-
問1．情報セキュリティの3要素（CIA）は機密性（Confidentiality）・完全性（Integrity）・可用性（Availability）である。
正解：○（正しい）
解説：正しい。JIS Q 27000（3.28）は情報セキュリティを「情報の機密性、完全性及び可用性を維持すること」と定義している。機密性は認可されていない者に情報を使用させず開示しない特性（3.10）、完全性は正確さ及び完全さの特性（3.36）、可用性は認可されたエンティティが要求したときにアクセス及び使用が可能である特性（3.7）である。真正性・責任追跡性・否認防止・信頼性は、同じ定義の注記で「含めることもある」とされる追加の特性である。
根拠： JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語 3.7 可用性／3.10 機密性／3.28 情報セキュリティ（注記）／3.36 完全性
-
問2．完全性（Integrity）とは情報や処理が改ざん・破壊されず正確かつ完全な状態に保たれる性質である。
正解：○（正しい）
解説：正しい。JIS Q 27000（3.36）は完全性を「正確さ及び完全さの特性」と定義しており、情報が改ざん・破壊されず、正確で欠けのない状態に保たれることを指す。総務省の用語集も、情報および処理方法の正確さおよび完全である状態を安全防護することと説明している。改ざんを見つける手段として、旧版のJIS Q 27002:2014（10.1.1）は、ディジタル署名やメッセージ認証コードで情報の完全性・真正性を検証することを挙げている。
根拠： JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語 3.36 完全性 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（か行） 完全性（かんぜんせい） ／ JIS Q 27002:2014 情報技術－セキュリティ技術－情報セキュリティ管理策の実践のための規範（ISO/IEC 27002:2013） 10.1.1 暗号による管理策の利用方針 関連情報 b) ／ JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策（ISO/IEC 27002:2022）規格票プレビュー（日本規格協会） まえがき（JIS Q 27002:2014 を置き換えた旨・令和6年6月20日改正）、目次（箇条5 組織的管理策／6 人的管理策／7 物理的管理策／8 技術的管理策）
-
問3．可用性（Availability）とは認可された者が必要時に情報・システムにアクセスできる性質である。
正解：○（正しい）
解説：正しい。JIS Q 27000（3.7）は可用性を「認可されたエンティティが要求したときに、アクセス及び使用が可能である特性」と定義している。総務省の用語集も「認可された利用者が、必要なときに情報にアクセスできることを確実にすること」と説明する。アクセスできる者を限るのは機密性、内容の正確さを保つのは完全性の側面である。認可されたアクセスを妨げるDoS（サービス拒否）は、可用性を損なう攻撃にあたる（NIST用語集）。
根拠： JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語 3.7 可用性 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（か行） 可用性（かようせい） ／ NIST CSRC Glossary「denial of service」 Definition（CNSSI 4009-2022）
-
問4．機密性（Confidentiality）とは認可された者だけが情報にアクセスできる性質である。
正解：○（正しい）
解説：正しい。機密性とは、認可されていない個人、エンティティ又はプロセスに対して、情報を使用させず、また、開示しない特性である。言い換えると、情報へのアクセスを認可された者だけがアクセスできるようにすることで、本文はこの意味を表している。機密性を守る代表的な手段は、保管又は伝送する重要な情報を暗号化することである。
根拠： JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語（現行版。JISC の詳細画面で最新改正 2019-03-20・最新確認 2023-06-20） 3.10 機密性 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（か行） 機密性（きみつせい） ／ JIS Q 27002:2014 情報技術－セキュリティ技術－情報セキュリティ管理策の実践のための規範（ISO/IEC 27002:2013）※旧版（現行は JIS Q 27002:2024） 10.1.1 暗号による管理策の利用方針 実施の手引（暗号による管理策の利用例 a) 機密性：保管又は伝送される重要な情報を守るための情報の暗号化の利用） ／ JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策（ISO/IEC 27002:2022）規格票プレビュー（日本規格協会） まえがき（JIS Q 27002:2014 を置き換えた旨・令和6年6月20日改正）、目次（箇条5 組織的管理策／6 人的管理策／7 物理的管理策／8 技術的管理策）
-
問5．真正性（Authenticity）とは主体（利用者・データ）が主張する者・もので確かにあることを確認できる性質である。
正解：○（正しい）
解説：正しい。JIS Q 27000（3.6）は真正性を「エンティティは、それが主張するとおりのものであるという特性」と定義している。利用者が本人であることや、データが称する発信元から来たこと（NIST用語集）を確かめられることを指す。真正性は、情報セキュリティの定義（3.28）の注記で、機密性・完全性・可用性に加えて維持することを「含めることもある」とされる特性の一つである。確かめる手段として、旧版のJIS Q 27002:2014（10.1.1）はディジタル署名やメッセージ認証コードを挙げる。
根拠： JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語 3.6 真正性／3.28 情報セキュリティ（注記） ／ NIST CSRC Glossary「authenticity」 Definition（NIST SP 800-38B ほか） ／ JIS Q 27002:2014 情報技術－セキュリティ技術－情報セキュリティ管理策の実践のための規範（ISO/IEC 27002:2013） 10.1.1 暗号による管理策の利用方針 関連情報 b) ／ JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策（ISO/IEC 27002:2022）規格票プレビュー（日本規格協会） まえがき（JIS Q 27002:2014 を置き換えた旨・令和6年6月20日改正）、目次（箇条5 組織的管理策／6 人的管理策／7 物理的管理策／8 技術的管理策）
-
問6．責任追跡性（Accountability）とは利用者の行為を後から追跡・特定できる性質である。
正解：○（正しい）
解説：正しい。責任追跡性（Accountability）は、エンティティの行動を、そのエンティティまで一意に追跡できることを確実にする特性である（NIST用語集）。JIS Q 27000（3.28 注記）では、機密性・完全性・可用性に加えて維持することを「含めることもある」とされる特性の一つである。旧版のJIS Q 27002:2014は、責任追跡性を維持するために利用者ごとに個別のIDとパスワードを使わせること（9.4.3）を挙げ、特権を与えられた利用者の責任追跡性を維持するためにログを保護してレビューする必要がある（12.4.3）としている。
根拠： NIST CSRC Glossary「accountability」 Definition（CNSSI 4009-2022 from ISO/IEC 7498-2:1989） ／ JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語 3.28 情報セキュリティ（注記） ／ JIS Q 27002:2014 情報技術－セキュリティ技術－情報セキュリティ管理策の実践のための規範（ISO/IEC 27002:2013） 9.4.3 パスワード管理システム a)／12.4.3 実務管理者及び運用担当者の作業ログ ／ JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策（ISO/IEC 27002:2022）規格票プレビュー（日本規格協会） まえがき（JIS Q 27002:2014 を置き換えた旨・令和6年6月20日改正）、目次（箇条5 組織的管理策／6 人的管理策／7 物理的管理策／8 技術的管理策）
-
問7．否認防止（Non-repudiation）とは事象や行為が後から否認されないことを保証する性質である。
正解：○（正しい）
解説：正しい。JIS Q 27000（3.48）は否認防止を「主張された事象又は処置の発生、及びそれらを引き起こしたエンティティを証明する能力」と定義している。総務省の用語集も、送信者や受信者が後になって送信・受信の事実や内容を否定できないよう証拠を残すことと説明する。旧版のJIS Q 27002:2014（10.1.1）は、ある事象や活動が起こったこと又は起こらなかったことの証拠を提供するために暗号技術を使うことを否認防止の例に挙げる。NIST用語集も、秘密鍵を持つ署名者に由来することを第三者が検証できる仕組みとして説明している。
根拠： JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語 3.48 否認防止 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（は行） 否認防止（ひにんぼうし） ／ JIS Q 27002:2014 情報技術－セキュリティ技術－情報セキュリティ管理策の実践のための規範（ISO/IEC 27002:2013） 10.1.1 暗号による管理策の利用方針 関連情報 c) ／ NIST CSRC Glossary「non-repudiation」 Definition（FIPS 186-5） ／ JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策（ISO/IEC 27002:2022）規格票プレビュー（日本規格協会） まえがき（JIS Q 27002:2014 を置き換えた旨・令和6年6月20日改正）、目次（箇条5 組織的管理策／6 人的管理策／7 物理的管理策／8 技術的管理策）
-
問8．信頼性（Reliability）とは意図した結果と一貫した動作・処理が得られる性質である。
正解：○（正しい）
解説：信頼性は意図した動作・処理の一貫性を担保する性質。テスト・冗長設計・障害監視等で実現する。CIA3要素を拡張した7要素の一つで、可用性とは異なり『期待通りに正しく動く』ことを保証する。
-
問9．コンピュータウイルスは他のプログラムに寄生して自己複製する機能を持つマルウェアである。
正解：○（正しい）
解説：正しい。コンピュータウイルスは、ほかのプログラムを書き換えて自分の複製を組み込むことで広がり、感染したプログラムが実行されたときに動き出す不正なソフトウェアである（NIST用語集「virus」。出典ISO/IEC 2382:2015）。宿主となるプログラムの実行を必要とする点で、ほかのファイルに寄生せず自分自身で自己増殖するワーム（総務省 用語集）と区別される。なお、ボットやトロイの木馬などまで含めた「広義のウイルス」という呼び方もある（総務省「マルウェアとは？」）。
根拠： NIST CSRC Glossary「virus」 Definition（CNSSI 4009-2022 from ISO/IEC 2382:2015／NIST SP 800-82r3 from RFC 4949） ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（わ行） ワーム ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表
-
問10．ワームは独立して動作し、自己複製しながらネットワーク経由で感染を拡大するマルウェアである。
正解：○（正しい）
解説：正しい。総務省の用語集は、ワームを「他のファイルに寄生して増殖するのではなく、自分自身がファイルやメモリを使って自己増殖を行うタイプのウイルス」と説明している。NIST用語集（出典SP 800-28）も、宿主プログラムや利用者の操作を必要とせずに、ネットワークを通じてほかのコンピュータへ自分を広げる自己複製プログラムとしている。宿主のプログラムに自分の複製を組み込んで広がるウイルスとは、この点で区別される。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（わ行） ワーム ／ NIST CSRC Glossary「worm」 Definition（NIST SP 800-28 Version 2）
-
問11．トロイの木馬は正常なソフトウェアに偽装してインストールされ、内部で悪意ある動作を行うマルウェアである。
正解：○（正しい）
解説：正しい。トロイの木馬は、有用な機能を持つように見せかけ、その裏に悪意のある機能を隠したプログラムである（NIST用語集）。総務省の用語集は、コンピュータの内部に潜伏してシステムを破壊したり、外部からの不正侵入を助けたり、情報を外部に発信したりするプログラムで、感染能力を持つプログラムではないと説明している。自己複製しない点でウイルスやワームと異なり、外部から侵入しやすい裏口（バックドア）を作るものもある（総務省「マルウェアとは？」）。
根拠： NIST CSRC Glossary「trojan horse」 Definition（NIST SP 800-12 Rev.1 from CNSSI 4009） ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（た行） トロイの木馬（トロイのもくば） ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表
-
問12．ランサムウェアは感染端末のファイルを暗号化し、復号鍵と引換に身代金を要求するマルウェアである。
正解：○（正しい）
解説：正しい。総務省の用語集は、ランサムウェアを、感染したPC（PCからアクセスできるネットワーク上のファイルを含む）のファイルを暗号化して使えない状態にし、復旧と引き換えに身代金を要求するマルウェアと説明している。IPAは、ファイルを暗号化する型のほか、端末の操作をロックする型も挙げる。最近は暗号化を行わず、盗んだデータの公開を対価に金銭を求める「ノーウェアランサム」の被害も増えている（総務省）。身代金を払っても復旧される保証はなく、支払いは推奨されない。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（ら行） ランサムウェア ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表 ／ IPA「ランサムウェアの脅威と対策 ～ランサムウェアによる被害を低減するために～」（2017年） 1.1 ランサムウェアのタイプ（PDF p.4）
-
問13．スパイウェアは利用者に気付かれないように情報を収集・送信するマルウェアである。
正解：○（正しい）
解説：正しい。総務省の用語集は、スパイウェアを、利用者のコンピュータから個人情報やコンピュータの情報などをインターネットに送信するソフトウェアで、一般にはインストールや動作に利用者が気づいていない状態で自動的に情報を送るものと説明している。NIST用語集も、本人に知られないよう密かにシステムに組み込まれ、個人や組織の情報を集める悪意のあるコードとしている。総務省は、情報漏えいを起こすマルウェアとして、スパイウェアと並べてキーロガーを挙げている。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（さ行） スパイウェア ／ NIST CSRC Glossary「spyware」 Definition（NIST SP 800-12 Rev.1） ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表
-
問14．キーロガーはキーボード入力を記録して攻撃者に送信するマルウェアの一種である。
正解：○（正しい）
解説：正しい。総務省の用語集は、キーロガーを「キーボードからの入力を記録するソフトウェア」とし、ウイルスなどを使ってコンピュータに常駐させ、ユーザIDやパスワード、クレジットカード番号などを不正に入手するために使われることが増えていると説明している。総務省「マルウェアとは？」も、利用者がキーボードで入力した情報を記録するキーロガーを、情報漏えいを起こすタイプとして挙げる。同じ用語集の「マルウェア」の項でも、キーロガー（キーストロークロガー）はマルウェアの種類の一つとされている。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（か行） キーロガー ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（ま行） マルウェア
-
問15．ボットネットは攻撃者が遠隔制御できる多数の感染端末（ボット）から構成されるネットワークである。
正解：○（正しい）
解説：正しい。総務省の用語集は、ボットを、コンピュータを外部から遠隔操作するためのウイルスの一種とし、ボットネットを、ボットに感染した多数のコンピュータで構成されるネットワークと説明している。ボットネットに組み込まれたコンピュータは、攻撃者がインターネット上から指示を出すことで、迷惑メールの配信やほかのコンピュータへの攻撃、情報の窃取などを行う。数千～数十万台の規模になることもあり、大規模なDDoS攻撃に使われる（総務省「不正アクセスとは？」）。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（は行） ボット／ボットネット ／ 総務省 国民のためのサイバーセキュリティサイト「不正アクセスとは？」 他のシステムへの攻撃の踏み台に
-
問16．RAT（Remote Access Trojan）は感染端末を攻撃者が遠隔操作するためのバックドア型マルウェアである。
正解：○（正しい）
解説：正しい。IPAの試験シラバス（Ver.4.1）は、RAT（Remote Access Trojan）を遠隔操作型ウイルスとして、ボットの関連用語に挙げている。総務省の用語集は、RATを、利用者に気づかれないよう密かにインストール・実行され、ファイルの実行・削除やアップロード・ダウンロードなどを許可なく行う遠隔操作のためのプログラムと説明する（同用語集では Remote Administration Tool の略）。裏口（バックドア）を作られると、いつでも攻撃者から遠隔操作されうる（総務省）。
根拠： IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 要求される知識 大分類1 中分類1 セキュリティ 1 情報セキュリティ（脅威／マルウェア・不正プログラム／サイバー攻撃手法の用語例。本文p.2） ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） RAT(ラット) ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表
-
問17．SQLインジェクションはWebアプリの入力欄に不正なSQL文を埋め込んでDBを不正操作する攻撃である。
正解：○（正しい）
解説：正しい。IPA「安全なウェブサイトの作り方」は、データベースと連携するウェブアプリケーションで、利用者の入力を基にSQL文を組み立てる方法に問題があり、データベースを不正利用される問題をSQLインジェクションの脆弱性、それを悪用する攻撃をSQLインジェクション攻撃と呼んでいる。非公開情報の閲覧、情報の改ざん・消去、認証回避による不正ログインなどが起こりうる。根本的な対策は、SQL文の組み立てをすべてプレースホルダで実装することである。
根拠： IPA「安全なウェブサイトの作り方」改訂第7版（2021年3月） 1.1 SQLインジェクション（p.6〜7） ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） SQLインジェクション
-
問18．XSS（クロスサイトスクリプティング）はWebページに悪意あるスクリプトを埋め込み他ユーザのブラウザで実行させる攻撃である。
正解：○（正しい）
解説：正しい。IPA「安全なウェブサイトの作り方」は、利用者の入力内容などをウェブページとして出力する処理に問題があり、ページにスクリプト等を埋め込まれてしまう問題をクロスサイト・スクリプティングの脆弱性と呼び、その影響はウェブサイト自体ではなく、ページを閲覧している利用者に及ぶとしている。本物のサイト上での偽ページの表示や、ブラウザが保存しているCookieの取得などが起こりうる。根本的な対策は、ウェブページに出力するすべての要素にエスケープ処理を施すことである。
根拠： IPA「安全なウェブサイトの作り方」改訂第7版（2021年3月） 1.5 クロスサイト・スクリプティング（p.22〜24、5-(i)） ／ NIST CSRC Glossary「cross site scripting」 Definition（NISTIR 7711）
-
問19．CSRF（クロスサイトリクエストフォージェリ）はログイン中ユーザのブラウザから意図しないリクエストを送信させる攻撃である。
正解：○（正しい）
解説：CSRFは認証済みユーザのブラウザを悪用し、本人の意図しない操作（送金・退会等）を実行させる攻撃。対策は『CSRFトークン（使い捨ての秘密値）をフォームに含めて検証する』『SameSite Cookieの利用』『Referer/Originヘッダの検証』等。
-
問20．DoS攻撃は単一または少数の攻撃元から大量のリクエストを送り、サービスを停止させる攻撃である。
正解：○（正しい）
解説：正しい。DoS攻撃（サービス拒否攻撃）は、Webサーバやメールサーバなどに大量のサービス要求を送りつけて過大な負荷をかけ、相手のサーバやネットワークを使用不能にする攻撃である（総務省 用語集）。同用語集は、DoS攻撃は1台のコンピュータから実行するもの、DDoS攻撃はボットに感染させた複数のコンピュータが攻撃者の指示で一斉に攻撃するものと区別している。NIST用語集は、DoSを認可されたアクセスを妨げることと定義しており、損なわれるのは可用性である。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） DoS攻撃／DDoS攻撃 ／ NIST CSRC Glossary「denial of service」 Definition（CNSSI 4009-2022）
-
問21．DDoS攻撃は分散した多数の攻撃元から同時に大量のトラフィックを標的に送りサービスを妨害する攻撃である。
正解：○（正しい）
解説：正しい。総務省の用語集は、DDoS攻撃（分散サービス拒否攻撃）を、Webサーバやメールサーバなどに対して複数のコンピュータから大量のサービス要求のパケットを送りつけ、相手のサーバやネットワークに過大な負荷をかけて使用不能にする攻撃と説明している。1台のコンピュータから行うDoS攻撃と異なり、第三者のコンピュータをボットに感染させておくなどして、攻撃者の指示で複数のコンピュータが一斉に攻撃する。NIST用語集も、多数のホストを使うDoSの手法と定義している。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） DDoS攻撃／DoS攻撃 ／ NIST CSRC Glossary「distributed denial of service」 Definition（NISTIR 7711）
-
問22．中間者攻撃（MITM）は通信の当事者間に攻撃者が割り込んで盗聴や改ざんを行う攻撃である。
正解：○（正しい）
解説：正しい。総務省の用語集は、中間者攻撃を、通信を行っている当事者間に悪意を持った第三者が割り込み、不正を行う攻撃と説明している。NIST用語集も、通信する二者の間に位置して、やり取りされるデータを傍受したり改変したりする攻撃としている。対策は、TLS（HTTPS）で通信を暗号化し、サーバ証明書で接続先が意図した相手であることを確かめることである。IPAのTLS暗号設定ガイドラインは、HTTPS化で通信相手が意図したものであること、改ざんされないこと、傍受されないことを保証できるとしている。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（た行） 中間者攻撃（ちゅうかんしゃこうげき） ／ NIST CSRC Glossary「man in the middle attack」 Definition（NIST SP 1800-21B） ／ IPA・CRYPTREC「TLS暗号設定ガイドライン」Ver.3.1.1 2.3 サーバ証明書についての概要（p.16）／コラム「なぜ今、全HTTPS化が叫ばれているのか？」（p.33）
-
問23．標的型攻撃は、特定の組織を狙って、機密情報などを盗み取ろうとするサイバー攻撃である。
正解：○（正しい）
解説：正しい。総務省の用語集は、標的型攻撃を、特定の組織を狙って機密情報や知的財産、アカウント情報などを窃取しようとする攻撃と説明している。標的の組織がよくやり取りする形式のメールを送り、添付ファイルやリンクを開かせてマルウェアに感染させる手口が多い。不特定多数にばらまかれる通常の迷惑メールと異なり、業務に関係すると信じさせるよう巧妙に作り込まれる（総務省「標的型攻撃への対策」）。高度な手法で長期間にわたり侵入を続けるものはAPTと呼ばれる（NIST SP 800-30 Rev.1）。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（は行） 標的型攻撃（ひょうてきがたこうげき） ／ 総務省 国民のためのサイバーセキュリティサイト「標的型攻撃への対策」 本文 ／ NIST CSRC Glossary「advanced persistent threat」 Definition（NIST SP 800-30 Rev.1）
-
問24．フィッシング攻撃は正規サービスを装ったメールやWebサイトで利用者をだまし、ID・パスワード等を窃取する攻撃である。
正解：○（正しい）
解説：正しい。総務省は、フィッシング詐欺を、送信者を詐称したメールやSMSを送りつけ、リンクをクリックさせて偽のホームページに誘導し、クレジットカード番号やID・パスワードなどの重要な情報を盗み出す詐欺と説明している。NIST用語集も、正規の企業や信頼できる人物を装ったメールやWebサイトで機密データを得ようとする手法としている。対策として総務省は、通知を受けたURLの直接入力やブックマーク、正規のアプリからアクセスすること、ドメイン名を確かめることを挙げる。
根拠： 総務省 国民のためのサイバーセキュリティサイト「フィッシング詐欺とは？」 本文（手口と対策） ／ NIST CSRC Glossary「phishing」 Definition（NIST SP 800-12 Rev.1 from IETF RFC 4949）
-
問25．水飲み場型攻撃（Watering Hole）は標的が頻繁にアクセスするWebサイトを改ざんしてマルウェアを仕込み、訪問を待ち伏せする攻撃である。
正解：○（正しい）
解説：正しい。NIST用語集（出典SP 800-150）は、水飲み場型攻撃を、標的とする集団のメンバーがよく訪れるWebサイトを攻撃者が感染させておき、その集団の誰かが訪れたときにコンピュータを感染させることを狙う攻撃と定義している。IPAの試験シラバスでも、標的型攻撃の一つとしてAPTと並べて挙げられている。総務省も、脆弱性を悪用するウイルスが埋め込まれたホームページを閲覧すると、それだけで感染する可能性があるとしている。
根拠： NIST CSRC Glossary「watering hole attack」 Definition（NIST SP 800-150） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 要求される知識 大分類1 中分類1 セキュリティ 1 情報セキュリティ（脅威／マルウェア・不正プログラム／サイバー攻撃手法の用語例。本文p.2） ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表
-
問26．情報セキュリティの3要素（CIA）は Confidence・Identity・Authority の頭文字である。
正解：×（誤り）
解説：誤り。CIAはConfidentiality（機密性）・Integrity（完全性）・Availability（可用性）。
-
問27．完全性（Integrity）とは認可された者が必要時に情報を利用できる性質である。
正解：×（誤り）
解説：誤り。それは可用性の説明。完全性は情報が改ざん・破壊されず正確に保たれる性質。
-
問28．可用性（Availability）とは認可された者だけが情報にアクセスできる性質である。
正解：×（誤り）
解説：誤り。それは機密性の説明。可用性は必要時に情報やシステムを利用できる性質。
-
問29．機密性（Confidentiality）とは情報が改ざん・破壊されない性質である。
正解：×（誤り）
解説：誤り。それは完全性の説明。機密性は認可された者のみがアクセスできる性質。
-
問30．真正性（Authenticity）とは事象や行為が後から否認されないことを保証する性質である。
正解：×（誤り）
解説：誤り。それは否認防止の説明。真正性は主体が主張通りの者・ものであることを確認できる性質。
-
問31．コンピュータウイルスは自己複製機能を持たず、他のプログラムにも寄生しない単純なファイルである。
正解：×（誤り）
解説：誤り。ウイルスは他プログラムに寄生して自己複製する機能を持つ。
-
問32．ワームはホストプログラムに寄生しなければ動作・複製ができないマルウェアである。
正解：×（誤り）
解説：誤り。ワームは独立して動作・自己複製してネットワーク経由で感染拡大する。寄生が必要なのはウイルス。
-
問33．トロイの木馬は自己複製しながら他端末へ感染拡大する特徴を持つ。
正解：×（誤り）
解説：誤り。トロイの木馬は自己複製しない。正常ソフトに偽装して侵入し、内部で悪意動作を行う。
-
問34．ランサムウェアは個人情報を盗み出す目的の専門マルウェアであり、ファイル暗号化機能は持たない。
正解：×（誤り）
解説：誤り。ランサムウェアはファイルを暗号化し復号鍵と引換に身代金を要求するマルウェア。
-
問35．SQLインジェクションはWebページ閲覧者のブラウザで悪意あるスクリプトを実行させる攻撃である。
正解：×（誤り）
解説：誤り。それはXSS（クロスサイトスクリプティング）の説明。SQLインジェクションはWebアプリ経由でDBに不正なSQLを注入する攻撃。
-
問36．XSS（クロスサイトスクリプティング）はWebアプリの入力からSQL文を注入してデータベースを不正操作する攻撃である。
正解：×（誤り）
解説：誤り。それはSQLインジェクションの説明。XSSはWebページに悪意あるスクリプトを埋め込み他ユーザのブラウザで実行させる攻撃。
-
問37．CSRFは正規サイトに似せた偽サイトで利用者をだまして認証情報を窃取する攻撃である。
正解：×（誤り）
解説：誤り。それはフィッシングの説明。CSRFはログイン中ユーザのブラウザから意図しないリクエストを送信させる攻撃。
-
問38．DoS攻撃は多数の感染端末から分散して大量トラフィックを送る攻撃である。
正解：×（誤り）
解説：誤り。それはDDoS攻撃の説明。DoS攻撃は単一または少数の攻撃元から行われる。
-
問39．OSコマンド・インジェクションは、Webアプリケーションの入力に紛れ込ませたOSコマンドを、利用者のブラウザ上で実行させる攻撃である。
正解：×（誤り）
解説：誤り。IPA「安全なウェブサイトの作り方」1.2は、外部からの攻撃によってウェブサーバのOSコマンドを不正に実行されてしまう問題をOSコマンド・インジェクションの脆弱性と呼んでいる。コマンドが実行されるのは利用者のブラウザではなくウェブサーバで、サーバ内ファイルの閲覧・改ざん・削除、意図しないシャットダウンやユーザアカウントの追加、ウイルス感染やバックドアの設置、ほかのシステムへの攻撃の踏み台などが起こりうる。利用者のブラウザでスクリプトを実行させるのはクロスサイト・スクリプティングである。
根拠： IPA「安全なウェブサイトの作り方」改訂第7版（2021年3月） 1.2 OSコマンド・インジェクション（p.10）／1.5 クロスサイト・スクリプティング（p.22） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 要求される知識 大分類1 中分類1 セキュリティ 1 情報セキュリティ（脅威／マルウェア・不正プログラム／サイバー攻撃手法の用語例。本文p.2）
-
問40．中間者攻撃（MITM）は特定組織を長期にわたり執拗に狙う標的型攻撃の一種である。
正解：×（誤り）
解説：誤り。MITMは通信の当事者間に攻撃者が割り込み盗聴・改ざんする攻撃。長期執拗な攻撃はAPT攻撃。
-
問41．標的型攻撃は不特定多数を対象としてバラまかれる攻撃である。
正解：×（誤り）
解説：誤り。標的型攻撃は特定の組織や個人を狙う攻撃。不特定多数を対象とするのはバラマキ型のフィッシング等。
-
問42．ゼロデイ攻撃は脆弱性に対するセキュリティパッチ提供から十分な期間が経過した後に行われる攻撃である。
正解：×（誤り）
解説：誤り。ゼロデイ攻撃は、OSやソフトウェアの脆弱性が発見されたとき、メーカーが修正プログラムを配布する前に、その脆弱性を利用して行われる攻撃である（総務省「脆弱性とは？」）。NIST用語集も、以前は知られていなかった脆弱性を突く攻撃と定義している。修正プログラムの提供から時間がたった脆弱性は、適用すれば塞げる既知の脆弱性で、総務省は更新情報を集めてできる限り迅速にアップデートするよう求めている。
根拠： 総務省 国民のためのサイバーセキュリティサイト「脆弱性とは？」 本文（ゼロデイ攻撃） ／ NIST CSRC Glossary「zero day attack」 Definition（CNSSI 4009-2022）
-
問43．サプライチェーン攻撃は標的組織のシステムに直接侵入を試みる攻撃で、第三者を経由しない。
正解：×（誤り）
解説：誤り。サプライチェーン攻撃は取引先・委託先・ソフトウェアベンダ等を経由して標的組織を攻撃する手法。
-
問44．ソーシャルエンジニアリングは脆弱性を突く高度な技術的攻撃を指す。
正解：×（誤り）
解説：誤り。ソーシャルエンジニアリングは技術ではなく人間心理を操作してパスワード等を聞き出す攻撃手法。
-
問45．DNSキャッシュポイズニングは、DNSサーバに大量の問合せを送り付けて、名前解決のサービスを停止させる攻撃である。
正解：×（誤り）
解説：誤り。DNSキャッシュポイズニングは、DNSキャッシュサーバに偽の応答を覚え込ませ、利用者を偽サイトなどへ誘導する攻撃である。大量の問合せでサービスを止めるのはDoS攻撃の一種。
-
問46．ブルートフォース攻撃はあらかじめ用意した辞書（よく使われる単語）からパスワードを試行する攻撃である。
正解：×（誤り）
解説：誤り。それは辞書攻撃の説明。ブルートフォース攻撃は可能な組合せを総当たりで試行する。
-
問47．辞書攻撃はキーボードで入力できる全ての文字組合せを総当たりで試行する攻撃である。
正解：×（誤り）
解説：誤り。それはブルートフォース攻撃の説明。辞書攻撃は単語リスト（辞書）を用いる。
-
問48．レインボーテーブル攻撃は、平文のパスワード文字列を順番に比較する攻撃である。
正解：×（誤り）
解説：誤り。レインボーテーブル攻撃は、平文とハッシュ値の対応を事前計算したテーブル（レインボーテーブル）を使って、ハッシュ値から元のパスワードを効率よく割り出す攻撃。対策はソルトを付けてハッシュ化すること。
-
問49．キーロガーはディスプレイの画面を画像として保存しサーバへ送信する仕組みのマルウェアである。
正解：×（誤り）
解説：誤り。総務省の用語集は、キーロガーを「キーボードからの入力を記録するソフトウェア」とし、ウイルスなどを使ってコンピュータに常駐させ、ユーザIDやパスワード、クレジットカード番号などを不正に入手するために使われると説明している。総務省「マルウェアとは？」も、利用者がキーボードで入力した情報を記録するものとしている。記録するのはキー入力であり、問題文のように画面を画像として保存・送信するものは、キーロガーの定義に当たらない。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（か行） キーロガー ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表
-
問50．アドウェアは感染端末のファイルを暗号化して身代金を要求するマルウェアである。
正解：×（誤り）
解説：誤り。それはランサムウェアの説明。アドウェアは広告を強制的に表示するマルウェア。
-
問51．情報セキュリティの3要素（CIA）として正しい組合せはどれか。
- ア．真正性・責任追跡性・信頼性
- イ．予防・検出・回復
- ウ．機密性・完全性・可用性
- エ．人的・物理的・技術的
正解：ウ．機密性・完全性・可用性
解説：CIAは機密性・完全性・可用性で、JIS Q 27000（3.28）は情報セキュリティを「情報の機密性、完全性及び可用性を維持すること」と定義している。真正性・責任追跡性・信頼性は、同じ定義の注記で「含めることもある」とされる追加の特性で、3要素ではない。予防・検出・回復は、旧版のJIS Q 27002:2014（12.2.1。2024年版では8.7）がマルウェアに対する管理策として挙げていた観点である。人的・物理的・技術的は、JIS Q 27002:2024が管理策を分ける区分（組織的を加えた4つ）の一部である。
根拠： JIS Q 27000:2019 情報技術－セキュリティ技術－情報セキュリティマネジメントシステム－用語 3.28 情報セキュリティ（注記） ／ JIS Q 27002:2014 情報技術－セキュリティ技術－情報セキュリティ管理策の実践のための規範（ISO/IEC 27002:2013。2024年改正で置き換え） 12.2.1 マルウェアに対する管理策 ／ JIS Q 27002:2024 情報セキュリティ，サイバーセキュリティ及びプライバシー保護－情報セキュリティ管理策（ISO/IEC 27002:2022）規格票プレビュー（日本規格協会） 目次（箇条5 組織的管理策／6 人的管理策／7 物理的管理策／8 技術的管理策）
-
問52．ランサムウェアの特徴として最も適切なものはどれか。
- ア．キーボードの入力を記録して外部へ送信する
- イ．攻撃者の指令で迷惑メールの配信や攻撃を行う
- ウ．正規のソフトウェアを装って侵入し裏口を作る
- エ．ファイルを暗号化して復旧の対価を要求する
正解：エ．ファイルを暗号化して復旧の対価を要求する
解説：ランサムウェアは、感染したPCなどのファイルを暗号化して使えない状態にし、復旧と引き換えに身代金を要求するマルウェアである（総務省 用語集）。IPAは、ファイルを暗号化する型のほか、端末の操作をロックする型も挙げる。キーボードの入力を記録して送るのはキーロガー、攻撃者の指令で迷惑メールの配信やほかへの攻撃を行うのはボット（総務省）、有用なソフトウェアに見せかけて悪意ある機能を隠し、裏口（バックドア）を作るのはトロイの木馬（NIST用語集・総務省）の特徴である。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（ら行） ランサムウェア ／ IPA「ランサムウェアの脅威と対策 ～ランサムウェアによる被害を低減するために～」（2017年） 1.1 ランサムウェアのタイプ（PDF p.4） ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（か行） キーロガー ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（は行） ボットネット ／ NIST CSRC Glossary「trojan horse」 Definition（NIST SP 800-12 Rev.1 from CNSSI 4009） ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表
-
問53．SQLインジェクション攻撃への最も有効な対策はどれか。
- ア．プレースホルダを用いてSQL文を組み立てる
- イ．エラーメッセージにSQL文の内容を表示させない
- ウ．データベースに接続するアカウントの権限を絞る
- エ．パスワードをソルト付きハッシュ値で保管する
正解：ア．プレースホルダを用いてSQL文を組み立てる
解説：SQLインジェクションは、入力を基にSQL文を組み立てる処理の問題を突いてデータベースを不正に操作する攻撃である。IPA「安全なウェブサイトの作り方」は、脆弱性の原因そのものを取り除く「根本的解決」として、SQL文の組み立てをすべてプレースホルダで実装することを挙げる。エラーメッセージをブラウザに表示しないことと、データベースアカウントに適切な権限を与えることは、影響を軽減する「保険的対策」とされる。ソルト付きハッシュでの保管は、漏えいしたパスワードを悪用されにくくする対策で、注入そのものは防げない。
-
問54．XSS（クロスサイトスクリプティング）攻撃への基本的な対策はどれか。
- ア．SQL文の組み立てにプレースホルダを使う
- イ．ウェブページに出力する要素をエスケープする
- ウ．セッションIDをURLパラメータに格納しない
- エ．HTTPSで使うCookieにsecure属性を付ける
正解：イ．ウェブページに出力する要素をエスケープする
解説：XSSは、入力内容などをウェブページに出力する処理の問題を突いてスクリプトを埋め込み、閲覧者のブラウザで実行させる攻撃である。IPA「安全なウェブサイトの作り方」は、根本的解決として、ウェブページに出力するすべての要素にエスケープ処理（記号をHTMLエンティティに置換）を施すことを挙げる。プレースホルダはSQLインジェクションの対策、URLにセッションIDを入れないこととCookieのsecure属性はセッションIDの漏えいを防ぐ対策で、スクリプトの埋め込みは防げない。
-
問55．CSRF（クロスサイトリクエストフォージェリ）への有効な対策はどれか。
- ア．出力する文字列の特殊記号をエスケープする
- イ．セッションIDを推測困難な値で生成する
- ウ．フォームに秘密の値を埋め込み、受信時に照合する
- エ．ログイン成功後に新しいセッションを開始する
正解：ウ．フォームに秘密の値を埋め込み、受信時に照合する
解説：CSRF（クロスサイト・リクエスト・フォージェリ）は、ログイン中の利用者に罠のページを閲覧させ、意図しない処理のリクエストを送らせる攻撃である。IPA「安全なウェブサイトの作り方」は、根本的解決として、第三者が予測できない秘密情報をhiddenパラメータに出力し、実行時にその値が正しい場合だけ処理する方法を挙げる。出力時のエスケープはクロスサイト・スクリプティングの対策、推測困難なセッションIDとログイン後の新しいセッションはセッション管理の不備への対策で、正規のセッションから送られるCSRFは防げない。
-
問56．APT（Advanced Persistent Threat）攻撃の特徴として適切なものはどれか。
- ア．不特定多数に同じ文面のメールを一斉に送り付ける
- イ．一度の侵入で情報を盗むと、すぐに活動をやめる
- ウ．多数の端末から大量の通信を送り、サービスを止める
- エ．防御側の対応に合わせて手口を変え、侵入を続ける
正解：エ．防御側の対応に合わせて手口を変え、侵入を続ける
解説：APTは、高度な専門知識と豊富な資源を持つ攻撃者が、組織のシステム内に足場を築いて情報を盗み続けることなどを目的に、防御側の抵抗に適応しながら長期間にわたり繰り返し目的を追う脅威である（NIST SP 800-30 Rev.1）。不特定多数に同じメールを送るのは、特定の組織を狙う標的型攻撃とは異なるばらまき型の迷惑メールである（総務省）。一度で活動をやめるのは長期間・繰り返しと逆である。多数の端末から大量の通信を送りサービスを止めるのはDDoS攻撃である（総務省 用語集）。
根拠： NIST CSRC Glossary「advanced persistent threat」 Definition（NIST SP 800-30 Rev.1） ／ 総務省 国民のためのサイバーセキュリティサイト「標的型攻撃への対策」 本文 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） DDoS攻撃
-
問57．ゼロデイ脆弱性とは何か。
- ア．修正プログラムがまだ提供されていない脆弱性
- イ．人の心理的な隙のように、技術以外に起因する弱点
- ウ．利用者の設定の誤りによって生じている脆弱性
- エ．修正プログラムが公開済みで、未適用の脆弱性
正解：ア．修正プログラムがまだ提供されていない脆弱性
解説：ゼロデイ攻撃は、OSやソフトウェアの脆弱性が発見されたとき、メーカーが修正プログラムを配布する前にその脆弱性を利用して行われる攻撃である（総務省「脆弱性とは？」）。NIST用語集も、以前は知られていなかった脆弱性を突く攻撃としている。ゼロデイ脆弱性は、この修正プログラムがまだ無い状態の脆弱性を指す。公開済みの修正プログラムを適用していない脆弱性は、適用すれば塞げる既知の脆弱性である。人の心理的な隙を突くのはソーシャルエンジニアリングで、設定の誤りとともに修正プログラムの有無とは別の話である。
根拠： 総務省 国民のためのサイバーセキュリティサイト「脆弱性とは？」 本文（ゼロデイ攻撃） ／ NIST CSRC Glossary「zero day attack」 Definition（CNSSI 4009-2022） ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（さ行） ソーシャルエンジニアリング
-
問58．中間者攻撃（MITM）への有効な対策はどれか。
- ア．ファイアウォールで外部からの接続を制限する
- イ．TLSで通信を暗号化し、サーバ証明書を検証する
- ウ．パスワードを一定期間ごとに変更させる
- エ．ウイルス対策ソフトの定義ファイルを更新する
正解：イ．TLSで通信を暗号化し、サーバ証明書を検証する
解説：中間者攻撃は、通信する当事者の間に第三者が割り込み、やり取りを盗聴したり改ざんしたりする攻撃である（総務省・NIST）。IPAのTLS暗号設定ガイドラインは、サーバ証明書が接続先を意図した相手のサーバだと確かめる手段になるとし、HTTPS化で通信相手が意図したものであること、改ざんされないこと、傍受されないことを保証できるとしている。ファイアウォールは外部からの接続の制限、ウイルス対策ソフトは端末のマルウェアの検出のためのもので、経路上の割り込みは防げない。パスワードの定期的な変更は不要とされる（総務省）。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（た行） 中間者攻撃（ちゅうかんしゃこうげき） ／ NIST CSRC Glossary「man in the middle attack」 Definition（NIST SP 1800-21B） ／ IPA・CRYPTREC「TLS暗号設定ガイドライン」Ver.3.1.1 2.3 サーバ証明書についての概要（p.16）／コラム「なぜ今、全HTTPS化が叫ばれているのか？」（p.33） ／ 総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」 パスワードを複数のサービスで使い回さない（定期的な変更は不要）
-
問59．ソーシャルエンジニアリングの代表例はどれか。
- ア．入力欄に細工した文字列を送り、データベースを操作する
- イ．他のサービスから流出したIDとパスワードを試す
- ウ．会社の役員を名乗って電話し、パスワードを聞き出す
- エ．大量の通信を送り付けて、サービスを停止させる
正解：ウ．会社の役員を名乗って電話し、パスワードを聞き出す
解説：ソーシャルエンジニアリングは、技術を直接使わずに人の心の隙を突いて情報を得たり、人を操ったりする手法の総称である（国家サイバー統括室のコラム・総務省 用語集）。古くから、電話で会社の役員を名乗りパスワードを聞き出す行為が代表例として紹介されてきた。入力欄に細工した文字列でデータベースを操作するのはSQLインジェクション（総務省 用語集）、流出したIDとパスワードを試すのはリスト型攻撃（IPA）、大量の通信でサービスを止めるのはDoS攻撃で、いずれも人をだます手法ではない。
根拠： 国家サイバー統括室 コラム「人の心の隙を突く「ソーシャルエンジニアリング」」（2022年8月16日） 本文 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（さ行） ソーシャルエンジニアリング ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） SQLインジェクション／DoS攻撃 ／ IPA 安心相談窓口だより「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日） 2.1 基本的な手口（要因1 総当たり攻撃・辞書攻撃／要因2 リスト型攻撃）
-
問60．フィッシング攻撃への対策として最も適切なのはどれか。
- ア．アドレス欄に鍵マークがあればIDとパスワードを入力する
- イ．メール本文に書かれた電話番号に電話して真偽を確かめる
- ウ．メール内のリンクを開き、表示された画面のロゴを確かめる
- エ．ブックマークや事業者の正規アプリからアクセスする
正解：エ．ブックマークや事業者の正規アプリからアクセスする
解説：フィッシングは、送信者を詐称したメールやSMSで偽サイトに誘導し、IDやパスワードなどを盗む詐欺である。総務省は対策として、通知を受けた正しいURLを直接入力するか、ブックマークに登録したURLからアクセスすること、事業者の正規アプリを使うことを挙げる。鍵マークが表示されているフィッシングサイトも増えており、鍵マークだけで安心しない。メールに書かれた相手の情報は正しいとは限らず、電話は正規のWebサイトなどで調べた番号にかける。偽サイトは本物と区別がつかないよう偽造され、ひと目では判別できないことが増えている。
-
問61．水飲み場型攻撃（Watering Hole）の説明として適切なものはどれか。
- ア．送信者を偽装したメールで、添付ファイルを開かせる
- イ．標的がよく訪れるサイトに仕掛け、訪問時に感染させる
- ウ．通信の当事者間に割り込み、やり取りを書き換える
- エ．本物に似せたサイトへメールで誘導し、情報を入力させる
正解：イ．標的がよく訪れるサイトに仕掛け、訪問時に感染させる
解説：水飲み場型攻撃は、標的とする集団のメンバーがよく訪れるWebサイトを攻撃者が感染させておき、その集団の誰かが訪れたときにコンピュータを感染させる攻撃である（NIST用語集、出典SP 800-150）。送信者を偽装したメールで添付ファイルを開かせるのは標的型攻撃メールの手口（総務省）、通信の当事者間に割り込んで不正を行うのは中間者攻撃（総務省 用語集）、本物に似せたサイトへメールで誘導して入力させるのはフィッシング（総務省）である。いずれも、標的がよく訪れるWebサイトをあらかじめ感染させておく手口ではない。
根拠： NIST CSRC Glossary「watering hole attack」 Definition（NIST SP 800-150） ／ 総務省 国民のためのサイバーセキュリティサイト「標的型攻撃への対策」 本文 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（た行） 中間者攻撃（ちゅうかんしゃこうげき） ／ NIST CSRC Glossary「man in the middle attack」 Definition（NIST SP 1800-21B） ／ 総務省 国民のためのサイバーセキュリティサイト「フィッシング詐欺とは？」 本文（手口と対策） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 要求される知識 大分類1 中分類1 セキュリティ 1 情報セキュリティ（脅威／マルウェア・不正プログラム／サイバー攻撃手法の用語例。本文p.2）
-
問62．ビジネスメール詐欺（BEC）の典型的な手口はどれか。
- ア．利用者が頻繁に見るサイトを改ざんし感染させる
- イ．取引先を装い、偽の口座へ代金を振り込ませる
- ウ．偽の警告画面を出し、サポート料金を支払わせる
- エ．ファイルを暗号化し、復旧の対価を支払わせる
正解：イ．取引先を装い、偽の口座へ代金を振り込ませる
解説：ビジネスメール詐欺（BEC）は、巧妙な偽のメールを組織に送り付け、従業員をだまして送金取引の資金を詐取する攻撃である（IPA）。IPAは、取引先になりすまして口座を差し替えた偽の請求書を送る型と、経営者などになりすまして振込をさせる型の2つに分けている。よく訪れるサイトを改ざんして感染させるのは水飲み場型攻撃（NIST用語集）、偽の警告画面から有償サポートへ誘導するのはサポート詐欺（総務省）、ファイルを暗号化して復旧の対価を求めるのはランサムウェアで、偽のメールで送金させる手口ではない。
根拠： IPA「ビジネスメール詐欺（BEC）の特徴と対策」第二版（2023年2月9日） 1.1 ビジネスメール詐欺（BEC）の概要（p.3）／1.2 ビジネスメール詐欺の2つのタイプ（p.5〜6） ／ NIST CSRC Glossary「watering hole attack」 Definition（NIST SP 800-150） ／ 総務省 国民のためのサイバーセキュリティサイト「サポート詐欺とは？」 本文 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（ら行） ランサムウェア
-
問63．ボットネットの説明として正しいものはどれか。
- ア．攻撃者を誘い込み、手口を分析するおとりのシステム
- イ．内部の端末に代わり、外部と通信する代理のサーバ
- ウ．攻撃者の指令で一斉に動く、感染した多数の端末群
- エ．ネットワークへの侵入を検知して知らせるシステム
正解：ウ．攻撃者の指令で一斉に動く、感染した多数の端末群
解説：ボットネットは、外部から遠隔操作するためのウイルスの一種であるボットに感染した多数のコンピュータで構成されるネットワークで、攻撃者の指示で迷惑メールの配信やほかのコンピュータへの攻撃などを行う（総務省 用語集）。攻撃者の侵入をあえて許して手口を分析するおとりはハニーポット、内部のコンピュータに代わって「代理」としてインターネットと接続するのはプロキシサーバ、侵入を検知するのはIDS（侵入検知システム）で、いずれも防御や通信のための仕組みである（総務省 用語集）。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（は行） ボット／ボットネット／ハニーポット／プロキシサーバ ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） IDS
-
問64．ファイルレスマルウェアの特徴はどれか。
- ア．他のプログラムに寄生し、その実行時に動き出す
- イ．正規のソフトウェアを装ってインストールさせる
- ウ．端末の画面をロックして操作できなくする
- エ．ディスクに書き込まず、メモリ上で動作する
正解：エ．ディスクに書き込まず、メモリ上で動作する
解説：ファイルレスマルウェアについて、Microsoftの解説は、定義は一つではないとしたうえで、完全なファイルレスはディスクにファイルを書き込む必要のないマルウェアとし、カーネルのメモリだけに存在するバックドアを例に挙げる。WMIに悪意あるPowerShellコマンドを仕込む手口は、ファイルを間接的に使う型として分けている。ほかのプログラムに寄生して実行時に動くのはウイルス、有用なソフトウェアに見せかけるのはトロイの木馬（NIST用語集）、画面をロックして操作できなくするのは端末ロック型のランサムウェア（IPA）である。
根拠： Microsoft Learn「ファイルレスの脅威」（Microsoft Defender for Endpoint） ファイルレス脅威とは／完全なファイルレス（型 I）／型 II: 間接ファイル アクティビティ ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 要求される知識 大分類1 中分類1 セキュリティ 1 情報セキュリティ（脅威／マルウェア・不正プログラム／サイバー攻撃手法の用語例。本文p.2） ／ NIST CSRC Glossary「virus」 Definition（CNSSI 4009-2022 from ISO/IEC 2382:2015） ／ NIST CSRC Glossary「trojan horse」 Definition（NIST SP 800-12 Rev.1 from CNSSI 4009） ／ IPA「ランサムウェアの脅威と対策 ～ランサムウェアによる被害を低減するために～」（2017年） 1.1 ランサムウェアのタイプ（PDF p.4）
-
問65．ドライブバイダウンロード攻撃の説明はどれか。
- ア．Webサイトを閲覧しただけでマルウェアに感染させる
- イ．本物に似せた偽サイトで、IDやパスワードを入力させる
- ウ．偽の警告画面を表示し、偽のサポート窓口に電話させる
- エ．ファイル共有ソフトで正規のファイルを装い実行させる
正解：ア．Webサイトを閲覧しただけでマルウェアに感染させる
解説：ドライブバイダウンロードは、Webサイトを閲覧しただけでマルウェアに感染させる攻撃である。総務省は、脆弱性を悪用するウイルスが埋め込まれたホームページを閲覧すると、それだけで感染する可能性があるとし、IPAも、改ざんされたWebサイトにアクセスするとドライブ・バイ・ダウンロード攻撃で感染する例を挙げる。偽サイトで認証情報を入力させるのはフィッシング、偽の警告画面で電話させるのはサポート詐欺、ファイル共有ソフトで正規のファイルを装うのは利用者に実行させる手口である（総務省）。
根拠： 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表 ／ IPA「ランサムウェアの脅威と対策 ～ランサムウェアによる被害を低減するために～」（2017年） 2. 感染経路「特定の条件下でウェブサイトを閲覧したことによる感染」（PDF p.7） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 要求される知識 大分類1 中分類1 セキュリティ 1 情報セキュリティ（脅威／マルウェア・不正プログラム／サイバー攻撃手法の用語例。本文p.2） ／ 総務省 国民のためのサイバーセキュリティサイト「フィッシング詐欺とは？」 本文（手口と対策） ／ 総務省 国民のためのサイバーセキュリティサイト「サポート詐欺とは？」 本文
-
問66．パスワードリスト攻撃とは何か。
- ア．よく使われる言葉を集めた辞書の語を順に試す攻撃
- イ．他のサービスから流出したログイン情報の組を試す攻撃
- ウ．一つのパスワードを固定し、IDを変えながら試す攻撃
- エ．一つのIDに対し、文字の組合せを総当たりで試す攻撃
正解：イ．他のサービスから流出したログイン情報の組を試す攻撃
解説：パスワードリスト攻撃（クレデンシャルスタッフィング）は、特定のサービスから流出したIDとパスワードのリストを別のサービスに入力してログインを試す攻撃で、IPAは「リスト型攻撃」と呼んでいる。パスワードの使い回しが狙われるため、サービスごとに異なるパスワードを使うことが対策になる（総務省）。よく使われる言葉を集めた辞書を使うのは辞書攻撃、すべての文字列の組合せを試すのは総当たり攻撃（IPA）、同一のパスワードに対してIDを変えながら試すのはリバースブルートフォース攻撃である（総務省）。
根拠： IPA 安心相談窓口だより「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日） 2.1 基本的な手口（要因1 総当たり攻撃・辞書攻撃／要因2 リスト型攻撃） ／ IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 要求される知識 大分類1 中分類1 セキュリティ 1 情報セキュリティ（脅威／マルウェア・不正プログラム／サイバー攻撃手法の用語例。本文p.2） ／ 総務省 国民のためのサイバーセキュリティサイト「安全なパスワードの設定・管理」 パスワードを複数のサービスで使い回さない（定期的な変更は不要） ／ 総務省 報道資料「ウェブサービスに関するID・パスワードの管理・運用実態調査結果」（平成27年7月30日） 調査結果のポイント（注2 ブルートフォース攻撃・注3 リバースブルートフォース攻撃）
-
問67．リバースブルートフォース攻撃の特徴はどれか。
- ア．一つのIDに対し、パスワードを変えながら試す
- イ．流出したIDとパスワードの組を別サービスで試す
- ウ．一つのパスワードを固定し、IDを変えながら試す
- エ．よく使われる言葉の辞書から順にパスワードを試す
正解：ウ．一つのパスワードを固定し、IDを変えながら試す
解説：リバースブルートフォース攻撃は、同一のパスワードに対してIDを変えながらログインを試行する攻撃で、同一IDに対してパスワードを変えながら試行するブルートフォース攻撃の向きを逆にしたものである（総務省 報道資料の注）。総務省の調査は、同一IDへのログイン試行回数の制限をブルートフォース攻撃への対策、同一IPアドレスからの試行回数の制限をリバースブルートフォース攻撃への対策の1つとしている。流出したIDとパスワードの組を試すのはリスト型攻撃、辞書の言葉を試すのは辞書攻撃である（IPA）。
根拠： 総務省 報道資料「ウェブサービスに関するID・パスワードの管理・運用実態調査結果」（平成27年7月30日） 調査結果のポイント（注2 ブルートフォース攻撃・注3 リバースブルートフォース攻撃） ／ IPA 安心相談窓口だより「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日） 2.1 基本的な手口（要因1 総当たり攻撃・辞書攻撃／要因2 リスト型攻撃）
-
問68．ディレクトリトラバーサル攻撃の説明はどれか。
- ア．OSコマンドを入力に紛れ込ませ、サーバ上で実行させる
- イ．メール送信機能の入力に改行を入れ、宛先を追加させる
- ウ．盗んだセッションIDで、ログイン中の利用者になりすます
- エ．ファイル名に「../」などを含め、公開外のファイルを読む
正解：エ．ファイル名に「../」などを含め、公開外のファイルを読む
解説：ディレクトリトラバーサルは、サーバ内のファイル名を外部からのパラメータで指定するウェブアプリケーションに対し、「../」などで公開を想定していないファイルを指定して閲覧・改ざんする攻撃である（IPA「安全なウェブサイトの作り方」1.3）。対策は、固定のディレクトリを指定し、ファイル名にディレクトリ名が含まれないようにすることなどである。OSコマンドを実行させるのはOSコマンド・インジェクション、改行で宛先を加えるのはメールヘッダ・インジェクション、盗んだセッションIDでなりすますのはセッション・ハイジャックである。
-
問69．バッファオーバーフロー攻撃の説明として適切なものはどれか。
- ア．確保したメモリ領域を超えるデータを送り、領域外を上書きする
- イ．ページの出力にスクリプトを埋め込み、閲覧者側で実行させる
- ウ．入力を基に組み立てる命令文を改変し、データベースを操作する
- エ．パラメータのファイル名を改変し、公開外のファイルを参照する
正解：ア．確保したメモリ領域を超えるデータを送り、領域外を上書きする
解説：バッファオーバーフローは、プログラムが入力データを適切に扱わず、確保したメモリ領域を超えて領域外を上書きされる問題で、これを悪用する攻撃では異常終了や、任意のコード実行によるウイルス感染・バックドアの設置などが起こりうる（IPA「安全なウェブサイトの作り方」1.10）。スクリプトを埋め込み閲覧者側で実行させるのはクロスサイト・スクリプティング、データベースへの命令文を改変するのはSQLインジェクション、ファイル名の改変で公開外のファイルを参照するのはディレクトリ・トラバーサルである。
根拠： IPA「安全なウェブサイトの作り方」改訂第7版（2021年3月） 1.10 バッファオーバーフロー（p.44〜45）／1.5 クロスサイト・スクリプティング（p.22）／1.1 SQLインジェクション（p.6）／1.3 ディレクトリ・トラバーサル（p.13） ／ NIST CSRC Glossary「buffer overflow」 Definition（CNSSI 4009-2022）
-
問70．セッションハイジャックとはどのような攻撃か。
- ア．ログイン中の利用者のブラウザから、意図しない処理を送信させる
- イ．ログイン後に発行される識別情報を盗み、本人になりすます
- ウ．ログイン画面で多数のパスワードを試し、不正にログインする
- エ．偽のログイン画面に誘導し、IDとパスワードを入力させる
正解：イ．ログイン後に発行される識別情報を盗み、本人になりすます
解説：セッションハイジャックは、ログインした利用者を識別するためにウェブアプリケーションが発行するセッションIDを、推測や盗聴などで不正に取得し、その利用者になりすましてアクセスする攻撃である（IPA「安全なウェブサイトの作り方」1.4、総務省 用語集）。対策は、セッションIDを推測困難にし、URLに含めず、HTTPSで使うCookieにsecure属性を付けることなどである。意図しない処理を送らせるのはCSRF、多数のパスワードを試すのは総当たり攻撃、偽のログイン画面に入力させるのはフィッシングである。
根拠： IPA「安全なウェブサイトの作り方」改訂第7版（2021年3月） 1.4 セッション管理の不備（p.16〜19、4-(i)〜4-(iii)）／1.6 CSRF（p.30） ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（さ行） セッションハイジャック ／ IPA 安心相談窓口だより「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日） 2.1 基本的な手口（要因1 総当たり攻撃・辞書攻撃／要因2 リスト型攻撃）
-
問71．RAT（Remote Access Trojan）の主な目的はどれか。
- ア．キーボードの入力を記録し、IDやパスワードを盗む
- イ．ファイルを暗号化し、復旧の対価として金銭を要求する
- ウ．攻撃者が感染端末を外部から操作できるようにする
- エ．閲覧履歴などの情報を集め、気づかれずに外部へ送る
正解：ウ．攻撃者が感染端末を外部から操作できるようにする
解説：RAT（Remote Access Trojan）は、IPAのシラバスで遠隔操作型ウイルスとされるマルウェアである。総務省の用語集は、利用者に気づかれないよう密かにインストール・実行され、ファイルの実行・削除やアップロード・ダウンロードなどを許可なく行う遠隔操作のためのプログラムと説明しており、攻撃者が外部から端末を操作できるようにすることが主な目的である。入力を記録するのはキーロガー、ファイルを暗号化して金銭を要求するのはランサムウェア、情報を集めて気づかれずに送るのはスパイウェアの働きである。
根拠： IPA 情報セキュリティマネジメント試験 シラバス Ver.4.1 要求される知識 大分類1 中分類1 セキュリティ 1 情報セキュリティ（脅威／マルウェア・不正プログラム／サイバー攻撃手法の用語例。本文p.2） ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） RAT(ラット) ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（か行） キーロガー ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（ら行） ランサムウェア ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（さ行） スパイウェア
-
問72．DDoS攻撃でよく使われる手法はどれか。
- ア．DNSサーバに偽の応答を覚え込ませ、利用者を誘導する
- イ．通信の当事者間に割り込み、やり取りを書き換える
- ウ．他のサービスから流出したIDとパスワードを試す
- エ．多数のボットに指令を出し、一斉に通信を送らせる
正解：エ．多数のボットに指令を出し、一斉に通信を送らせる
解説：DDoS攻撃（分散サービス拒否攻撃）は、複数のコンピュータから大量のサービス要求をサーバなどに送り付け、過大な負荷をかけて使用不能にする攻撃で、第三者のコンピュータをボットに感染させておき、攻撃者の指示で一斉に攻撃させる手口が使われる（総務省 用語集）。DNSに偽の応答をキャッシュさせて誘導するのはDNSキャッシュポイズニング（JPRS）、当事者間に割り込むのは中間者攻撃、流出したIDとパスワードを試すのはリスト型攻撃（IPA）で、いずれもサービスを止めることを狙うものではない。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） DDoS攻撃 ／ JPRS用語辞典「DNSキャッシュポイズニング」 本文 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（た行） 中間者攻撃（ちゅうかんしゃこうげき） ／ IPA 安心相談窓口だより「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日） 2.1 基本的な手口（要因1 総当たり攻撃・辞書攻撃／要因2 リスト型攻撃）
-
問73．メールヘッダインジェクションとはどのような攻撃か。
- ア．フォームの入力に改行コードを混ぜ、メールの宛先を書き加える
- イ．送信元のアドレスを詐称し、取引先を装ったメールを送る
- ウ．メール本文にスクリプトを埋め込み、開いた端末で実行させる
- エ．メールサーバに大量のメールを送り付け、受信を妨げる
正解：ア．フォームの入力に改行コードを混ぜ、メールの宛先を書き加える
解説：メールヘッダ・インジェクションは、問い合わせページなどのメール送信機能に対し、宛先などのメールヘッダに出力される入力に改行コードを混ぜて、任意のヘッダの挿入や任意の宛先へのメール送信を行う攻撃で、迷惑メールの送信に悪用される（IPA「安全なウェブサイトの作り方」1.8）。対策はメールヘッダを固定値にし、外部からの入力はすべて本文に出力することである。送信元の詐称はなりすましメール、本文にスクリプトを埋め込むのはHTMLメールを悪用した感染（総務省）、大量の要求で受信を妨げるのはDoS攻撃である。
根拠： IPA「安全なウェブサイトの作り方」改訂第7版（2021年3月） 1.8 メールヘッダ・インジェクション（p.38〜39、8-(i)-a） ／ 総務省 国民のためのサイバーセキュリティサイト「標的型攻撃への対策」 本文 ／ 総務省 国民のためのサイバーセキュリティサイト「マルウェア（ウイルス等）とは？」 本文・主な感染経路の表・マルウェアの主な活動の表 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（英字） DoS攻撃
-
問74．クロスサイトリクエストフォージェリ（CSRF）攻撃で起きる典型的な被害はどれか。
- ア．会員向けの非公開ページの内容を、攻撃者が直接閲覧する
- イ．利用者が意図しない送金や退会などの処理を実行させられる
- ウ．サーバ内の設定ファイルやソースコードを閲覧される
- エ．ブラウザに保存されたCookieの値を攻撃者に送られる
正解：イ．利用者が意図しない送金や退会などの処理を実行させられる
解説：CSRF（クロスサイト・リクエスト・フォージェリ）は、ログイン中の利用者に罠のページを閲覧させ、予期しない処理を実行させる攻撃である。IPA「安全なウェブサイトの作り方」1.6は、被害として不正な送金、意図しない退会処理、設定の不正な変更などを挙げ、ログインした利用者だけが閲覧できる情報を攻撃者は閲覧できないと注記している（次のなりすましにつながる場合を除く）。サーバ内のファイルの閲覧はディレクトリ・トラバーサル、Cookieの取得はクロスサイト・スクリプティングで起こりうる被害である。
-
問75．スパムボット感染端末の特徴として最も適切なものはどれか。
- ア．偽の警告画面を表示し、サポート窓口へ電話させる
- イ．キーボードの入力を記録し、外部へ送信する
- ウ．攻撃者の指令を受け、迷惑メールを大量に送信する
- エ．端末内のファイルを暗号化し、開けない状態にする
正解：ウ．攻撃者の指令を受け、迷惑メールを大量に送信する
解説：ボットは、コンピュータを外部から遠隔操作するためのウイルスの一種で、感染したコンピュータは攻撃者がインターネット上から出す指示によって、迷惑メール（スパム）の配信やほかのコンピュータへの攻撃などを行う（総務省 用語集「ボット」「ボットネット」）。スパムボットに感染した端末は、この迷惑メールの配信に使われる。偽の警告画面でサポート窓口へ電話させるのはサポート詐欺、入力を記録して送るのはキーロガー、ファイルを暗号化して使えなくするのはランサムウェアの特徴である（総務省）。
根拠： 総務省 国民のためのサイバーセキュリティサイト 用語集（は行） ボット／ボットネット ／ NIST CSRC Glossary「spam」 Definition（CNSSI 4009-2022 from IETF RFC 4949） ／ 総務省 国民のためのサイバーセキュリティサイト「サポート詐欺とは？」 本文 ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（か行） キーロガー ／ 総務省 国民のためのサイバーセキュリティサイト 用語集（ら行） ランサムウェア
-
問76．情報セキュリティでの脆弱性の検出に用いられるホワイトボックステストに該当するものはどれか。
- ア．検査対象のソフトウェア製品に対して，外部仕様を基に，問題を引き起こしそうなデータを大量に送り込み，その応答や挙動を監視することによって脆弱性を検出する。
- イ．検査対象のネットワークに対して，ネットワークの構成図や機器名などの情報を得ずに，TCP/IP に係る既知の脆弱性を攻撃し，実際に侵入できるかどうかを確認することによって脆弱性を検出する。
- ウ．検査対象のプログラムの内部構造及び内部仕様を基に，脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。
- エ．検査対象のプログラムの内部仕様を参照せずに，変数領域のあふれを見つけ出すツールを利用して，バッファオーバフローの脆弱性を検出する。
正解：ウ．検査対象のプログラムの内部構造及び内部仕様を基に，脆弱性の可能性がある箇所の処理で使われる入力値を変化させて実行することによって脆弱性を検出する。
解説：ホワイトボックステストは，中身が見えている状態で行う検査，すなわち内部構造や内部仕様を手掛かりにして行う検査である。ウだけが「内部構造及び内部仕様を基に」と言っている。アは外部仕様だけを手掛かりに大量のデータを送り込むファジングで，ブラックボックステストに当たる。イは構成図も機器名も得ずに攻撃を試すペネトレーションテストで，やはりブラックボックステストである。エは「内部仕様を参照せず」と明記されているのでブラックボックステストである。
出典：情報処理推進機構「令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問5
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問77．A 社は，従業員300 名の専門商社であり，機密性の高い情報も取り扱っている。最近，A 社は，駅前のB ビルの6 階に移転した。6 階にはA 社だけが入居している。 B ビルの2 階から最上階の17 階には多数の企業が入居しており，通常時はエレベーターを使用して各階に移動することができる。B ビルのビル管理業務はB 社が行っている。B 社はビルの入退館と入居企業の執務エリアの入退室を管理するシステム（以下，C システムという）を導入している。各入居企業は，C システムが発行するIC カード（以下，B カードという）を従業員に貸与している。各入居企業の執務エリアの出入口のドアは，当該企業が従業員に貸与したB カードをドア横のIC カードリーダーにかざすことによって解錠できる。 B ビルのエントランスホールは1 階にあり，エレベーターホールとの境界には，フラッパーゲートが設置されている。フラッパーゲートを通過するには，フラッパーゲートのリーダーにB カード又は入館用に一時的に発行されたQR コードをかざす必要がある。フラッパーゲートを通過すれば，平日の昼間はエレベーターの行先階ボタンを押すことで各階に自由に移動ができる。夜間と休日は，行先階の入居企業が従業員に貸与したB カードをエレベーター内のIC カードリーダーにかざす必要がある。 フラッパーゲートのすぐ外には階段室に入るための階段口があり，階段口にある非常ドアは通常時，エントランスホールには出られるが，階段室には入れない仕組みになっている。ほかの階の階段口にある非常ドアは通常時，各フロアには出られないが，階段室には入れる仕組みになっている。ただし，どの階の非常ドアも清掃時などに一時的に出入り可能になることがある。また，非常時は自動的に出入り可能になる。フラッパーゲートの脇にはごみ箱が設置されている。 〔来訪者管理〕 B ビルへの来訪者は，C システムで管理している。入居企業がC システムに，来訪者氏名，所属，来訪日，来訪者メールアドレスを登録すると，来訪日にだけ有効なゲスト入館用のQR コード付き入館証（以下，ゲスト入館証という）の画像ファイルが添付された電子メールが来訪者メールアドレスに送付される。来訪者は，来訪日当日に有効なゲスト入館証のQR コードを自身のスマートフォンの画面に表示するか又は印刷してフラッパーゲートのリーダーにかざすことによってフラッパーゲートを通過できる。当日に限り，同じ入館証で繰り返し入退館が可能なようにC システムは設定されている。 〔B ビルの物理的セキュリティにおける課題とB 社への依頼〕 ある日，突然，取引先のD 社のE 氏が予約なしに，A 社の情報セキュリティリーダーのF 部長を訪ねて6 階の受付エリアにやって来た。驚いたF 部長は，E 氏が来たことをきっかけにB ビルの物理的セキュリティについて調査し，複数の課題があることを発見した。そして，F 部長はその課題とB 社への依頼を表1 にまとめた。 設問 次の依頼のうち，表1 中の ［a1］ ，［a2］ に入れるものの組合せはどれか。a に関する解答群のうち，最も適切なものを選べ。 (一) C システムの設定を変更し，ゲスト入館証のQR コードの誤り訂正レベルの設定を高くする。 (二) C システムの設定を変更し，ゲスト入館証は1 回限り入館可能にする。 (三) エレベーターで行先階に移動するためには，平日の昼間もIC カードリーダーにB カードをかざすことを必要とする。そのため，各入居企業には，当該企業の従業員が1 階のエレベーター前から当該企業まで来訪者をアテンドするよう要請する。 (四) 警備員を1 階のフラッパーゲート脇に配置し，不正に入館しようとしている者がいないかどうかを監視する。
- ア．［a1］(一) ［a2］(二)
- イ．［a1］(一) ［a2］(三)
- ウ．［a1］(二) ［a2］(一)
- エ．［a1］(二) ［a2］(三)
- オ．［a1］(二) ［a2］(四)
- カ．［a1］(三) ［a2］(一)
- キ．［a1］(三) ［a2］(二)
- ク．［a1］(三) ［a2］(四)
- ケ．［a1］(四) ［a2］(一)
- コ．［a1］(四) ［a2］(二)
正解：エ．［a1］(二) ［a2］(三)
解説：項番1の課題は，ごみ箱から拾った「使用済の」ゲスト入館証で入館できてしまうことである。原因は，当日中なら同じ入館証で何度でも入退館できる設定にある。そこで(二)のように1 回限り入館可能にすれば，一度使われた入館証は拾っても通れなくなる。(一)の誤り訂正レベルはQR コードが汚れても読み取れるようにするための設定で，再利用を防ぐこととは関係がない。むしろ読み取りやすくなる。(四)の警備員の監視は，拾ったものが正規に発行された入館証である以上，見ただけで不正と見分けることが難しく，課題の解消にならない。 項番2の課題は，6 階以外への来訪者でも，平日の昼間はエレベーターで6 階まで行けてしまうことである。原因は，フラッパーゲートを通れば平日昼間は行先階ボタンだけで各階に移動できることにある。そこで(三)のように平日の昼間もエレベーターでB カードを必要とすれば，B カードを持たない来訪者は自分だけでは目的の階に行けなくなる。来訪者が動けなくならないよう，入居企業の従業員がアテンドする点まで含めて対策になっている。したがって a1 は(二)，a2 は(三) でエ。
出典：情報処理推進機構「令和8年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問13
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問78．ゼロトラストの説明として，最も適切なものはどれか。
- ア．機器やソフトウェアの脆弱性のうち，開発元から対策方法，修正プログラムなどが提供されていない脆弱性が残っている状態のこと
- イ．内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと
- ウ．秘密情報そのものは明かさずに，自分が秘密情報を知っていることを相手に知らせる方法のこと
- エ．マルウェア定義ファイルを用いず，PC の振る舞いからマルウェア感染を検知する手法のこと
正解：イ．内部ネットワークであっても必ずしも安全ではないことを前提として対策を講じる考え方のこと
解説：ゼロトラストは「何も信頼しない」という名のとおり，社内ネットワークの中だからといって安全だとは考えず，アクセスのたびに利用者と端末を確かめる考え方である。よってイ。在宅勤務やクラウド利用が広がり，社内と社外の境目が曖昧になったことが背景にある。アはゼロデイ（修正プログラムが提供されていない状態）。ウはゼロ知識証明。エは振る舞い検知（ビヘイビア法）の説明である。
出典：情報処理推進機構「令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問3
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問79．DNS キャッシュサーバでのDNS キャッシュポイズニング攻撃の対策はどれか。
- ア．DNS サービスの待ち受けポートを53 番に固定する。
- イ．外部のDNS クライアントからの再帰的問合せを受け付けない設定にする。
- ウ．権威DNS サーバへの問合せに使用するトランザクションID を固定する。
- エ．権威DNS サーバへの非再帰的問合せを行う設定にする。
正解：イ．外部のDNS クライアントからの再帰的問合せを受け付けない設定にする。
解説：DNS キャッシュポイズニングは，キャッシュサーバが問い合わせている隙に偽の応答を送り込み，誤った対応表を覚え込ませる攻撃である。攻撃者はまずキャッシュサーバに問合せをさせる必要があるので，外部からの再帰的問合せを受け付けなければ，社外の攻撃者から攻撃の口火を切られなくなる。よってイ。ウのトランザクションID の固定は，偽の応答を当てやすくするので逆効果である（正しい対策はIDと送信元ポート番号をランダムにすること）。アの待ち受けポートを53番に固定するのも，問合せの送信元ポートをランダムにするという対策と逆の方向である。エの非再帰的問合せは，キャッシュサーバが権威サーバに問い合わせるときの通常のやり方であって，対策として新たに何かをするものではない。
出典：情報処理推進機構「令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問5
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問80．CVSS v3 について，基本評価基準，現状評価基準，環境評価基準のうち，現状評価基準の特徴はどれか。
- ア．攻撃コードの出現の有無，利用可能な対策のレベルなどに応じ，評価結果は時間の経過で変化する。
- イ．脆弱性及び想定される脅威に応じ，製品利用者ごとに評価結果は異なる。
- ウ．製品利用者が脆弱性への対応を決めるための評価に用いる基準であり，評価結果は時間の経過で変化しない。
- エ．評価結果は利用環境によらず同じで，かつ，時間の経過でも変化しない。
正解：ア．攻撃コードの出現の有無，利用可能な対策のレベルなどに応じ，評価結果は時間の経過で変化する。
解説：CVSS v3 の3つの基準は，見ている軸がそれぞれ違う。基本評価基準は脆弱性そのものの性質を測るので，環境にも時間にもよらない。現状評価基準は，攻撃コードが世に出たか，修正プログラムが出たかといったそのときの状況を反映するので，時間とともに値が変わる。よってア。環境評価基準は，その製品を使っている組織の事情を反映するので，利用者ごとに違う。エは基本評価基準，イは環境評価基準の説明である。ウは「時間の経過で変化しない」としており現状評価基準の特徴と正反対である。
出典：情報処理推進機構「令和7年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問6
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問81．マルウェアの検出方法のうち，検査対象のプログラムを実行する必要があるものはどれか。
- ア．コンペア法
- イ．チェックサム法
- ウ．パターンマッチング法
- エ．ビヘイビア法
正解：エ．ビヘイビア法
解説：ビヘイビア法は，検査対象を実際に動かして，ファイルの書換えや通信の開始といった振る舞いを監視し，不審な動きをすればマルウェアと判断する方法である。よってエ。実行するので未知のマルウェアにも対応できる反面，動かす危険がある。アのコンペア法は安全な場所に保管した原本と比べる方法，イのチェックサム法はファイルから計算した値の変化を見る方法，ウのパターンマッチング法は既知のマルウェアの特徴（シグネチャ）と照合する方法で，いずれも実行せずに調べる。
出典：情報処理推進機構「令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問3
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問82．サイバーキルチェーンに関する説明として，適切なものはどれか。
- ア．委託先の情報セキュリティリスクが委託元にも影響するという考え方を基にしたリスク分析のこと
- イ．攻撃者がクライアントとサーバとの間の通信を中継し，あたかもクライアントとサーバが直接通信しているかのように装うことによって情報を盗聴するサイバー攻撃手法のこと
- ウ．攻撃者の視点から，攻撃の手口を偵察から目的の実行までの段階に分けたもの
- エ．取引データを複数の取引ごとにまとめ，それらを時系列につなげたチェーンに保存することによって取引データの改ざんを検知可能にしたもの
正解：ウ．攻撃者の視点から，攻撃の手口を偵察から目的の実行までの段階に分けたもの
解説：サイバーキルチェーンは，標的型攻撃を攻撃者の側から見て「偵察・武器化・配送・攻撃・インストール・遠隔操作・目的の実行」といった段階に分けたものである。どの段階で断ち切れば被害を防げるかを考えるために使う。よってウ。アはサプライチェーンリスクの考え方，イは中間者攻撃（Man-in-the-Middle），エはブロックチェーンの説明である。いずれも「チェーン」という語が付くが別の概念である。
出典：情報処理推進機構「令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問4
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問83．A 社は，飲食店へのコンサルティングを行う従業員50 名の企業である。A 社の全てのPC では，マルウェア対策ソフト（以下，X ソフトという）が有効にされている。ある日，総務部の情報セキュリティリーダーであるC 課長は，部下のD さんから，次の連絡を受けた。 ・A 社のPC のWeb ブラウザでWeb サイトを閲覧していたところ，PC がマルウェアに感染しているとの警告画面（以下，警告画面という）が全画面に表示された。 ・警告画面が表示されたあと何もPC の操作をせずに直ちにC 課長に連絡をした。 C 課長は，情報システム部に報告した。情報システム部はD さんのPC を確認し，数時間後，図1 のとおり報告した。 1. 警告画面には，次が表示されていた。 ・X ソフトの製品のロゴ ・マルウェアを削除するためのツールをインストールする指示 ・サポートが必要な場合の電話番号とチャットウィンドウ 2. 念のため，X ソフトを使ってD さんのPC をスキャンしたが，マルウェアは検出されなかった。また，警告画面の表示は，X ソフトによるものではないことを確認した。 3. 昨今，類似した警告画面の事例の報告が日本国内で増えている。 図1 情報システム部からの報告 A 社では，警告画面が表示された場合の適切な対応について全従業員に周知することにした。 設問 周知すべきことはどれか。解答群のうち，最も適切なものを選べ。
- ア．警告画面に，急いで対応する必要があるとの表示がある場合は，直ちに警告画面に表示された指示に従ってツールをインストールすること及びその具体的方法
- イ．警告画面に表示された指示には従わずに，直ちにWeb ブラウザを終了すること及びその具体的方法
- ウ．警告画面に表示されたツールと競合しないように，X ソフトをアンインストールし，警告画面に表示された指示に従ってツールをインストールすること及びその具体的方法
- エ．警告画面に表示された電話番号に直ちに連絡し，サポートオペレーターの指示に従うこと
- オ．警告画面に表示されている，X ソフトの製品のロゴが，製品開発元のWeb サイトに掲載されている正規の製品のロゴと同じである場合は，警告画面に表示された指示に従ってツールをインストールすること及びその具体的方法
正解：イ．警告画面に表示された指示には従わずに，直ちにWeb ブラウザを終了すること及びその具体的方法
解説：警告画面はX ソフトによるものではなく，X ソフトでスキャンしてもマルウェアは見つかっていない。つまりこれは，感染したように見せかけて偽のツールを入れさせたり，サポート窓口と称する電話番号へ誘導したりする「サポート詐欺」の画面である。したがって画面の指示には従わず，Web ブラウザを終了するのが正しい。よってイ。 アとウとオは，指示に従ってツールを入れてしまうもので，いずれも攻撃者の思うつぼである。とくにオの「ロゴが正規のものと同じなら従う」は危うい。ロゴの画像はいくらでもまねできるので，本物である証拠にならない。ウにいたっては，まともに動いているX ソフトを消してしまう。エの電話も同じで，かけた先で遠隔操作ソフトを入れさせられたり，金銭を要求されたりする。
出典：情報処理推進機構「令和6年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問15
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問84．入室時と退室時にID カードを用いて認証を行い，入退室を管理する。このとき，入室時の認証に用いられなかったID カードでの退室を許可しない，又は退室時の認証に用いられなかったID カードでの再入室を許可しないコントロールを行う仕組みはどれか。
- ア．TPMOR（Two Person Minimum Occupancy Rule）
- イ．アンチパスバック
- ウ．インターロックゲート
- エ．パニックオープン
正解：イ．アンチパスバック
解説：アンチパスバックは，入室の記録が無いID カードでの退室（またはその逆）を認めない仕組みで，共連れによる不正な入退室を見つけるために使う。よってイ。アのTPMOR は，室内が1 人だけになる状態を作らせない（入室も退室も必ず2 人以上で行わせる）仕組み。ウのインターロックゲートは，二重扉の片方が開いている間はもう片方を開かない仕組み。エのパニックオープンは，火災などの非常時に扉の施錠を一斉に解いて避難できるようにする仕組みである。
出典：情報処理推進機構「令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問2
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問85．デジタルフォレンジックスの説明はどれか。
- ア．サイバー攻撃に関連する脅威情報を標準化された方法で記述し，その脅威情報をセキュリティ対策機器に提供すること
- イ．受信メールに添付された実行ファイルを動作させたときに，不正な振る舞いがないかどうかをメールボックスへの保存前に確認すること
- ウ．情報セキュリティインシデント発生時に，法的な証拠となるデータを収集し，保管し，調査分析すること
- エ．内部ネットワークにおいて，通信データを盗聴されないように暗号化すること
正解：ウ．情報セキュリティインシデント発生時に，法的な証拠となるデータを収集し，保管し，調査分析すること
解説：デジタルフォレンジックスは，インシデントが起きたときに，法的な証拠となるデータを改変しないように収集・保全し，それを調査分析して何が起きたのかを明らかにすることをいう。よってウ。アはSTIX などの脅威情報の記述・共有，イはサンドボックスによる動的解析，エは通信の暗号化の説明である。
出典：情報処理推進機構「令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問3
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問86．迷惑メール対策のSPF（Sender Policy Framework）の仕組みはどれか。
- ア．送信側ドメインの管理者が，正規の送信側メールサーバのIP アドレスをDNS に登録し，受信側メールサーバでそれを参照して，IP アドレスの判定を行う。
- イ．送信側メールサーバでメッセージにデジタル署名を施し，受信側メールサーバでそのデジタル署名を検証する。
- ウ．第三者によって提供されている，スパムメールの送信元IP アドレスのデータベースを参照して，スパムメールの判定を行う。
- エ．ファイアウォールを通過した要求パケットに対する応答パケットかどうかを判断して，動的に迷惑メールの通信を制御する。
正解：ア．送信側ドメインの管理者が，正規の送信側メールサーバのIP アドレスをDNS に登録し，受信側メールサーバでそれを参照して，IP アドレスの判定を行う。
解説：SPF は，送信側ドメインの管理者が「このドメインのメールはこのIP アドレスから出す」という情報をDNS に登録しておき，受信側がそれを引いて送信元IP アドレスを照合する仕組みである。よってア。イはDKIM（デジタル署名による送信ドメイン認証）。ウはブラックリスト（DNSBL）による判定。エはステートフルパケットインスペクションの説明で，迷惑メール対策ではない。
出典：情報処理推進機構「令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問6
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問87．Web アプリケーションにおけるセキュリティ上の脅威とその対策に関する記述のうち，適切なものはどれか。
- ア．OS コマンドインジェクションを防ぐために，Web アプリケーションが発行するセッションID に推測困難な乱数を使用する。
- イ．SQL インジェクションを防ぐために，Web アプリケーション内でデータベースへの問合せを作成する際にプレースホルダを使用する。
- ウ．クロスサイトスクリプティングを防ぐために，Web サーバ内のファイルを外部から直接参照できないようにする。
- エ．セッションハイジャックを防ぐために，Web アプリケーションからシェルを起動できないようにする。
正解：イ．SQL インジェクションを防ぐために，Web アプリケーション内でデータベースへの問合せを作成する際にプレースホルダを使用する。
解説：SQL インジェクションは，入力された文字列がSQL 文の一部として解釈されてしまうことで起きる。プレースホルダを使って値をSQL 文の構造から切り離せば，入力がSQL 文として解釈されることがなくなる。よってイ。アは対策と脅威が対応していない。推測困難なセッションID はセッションハイジャックの対策である。ウのファイルを外部から直接参照させない対策はディレクトリトラバーサル向けで，クロスサイトスクリプティングの対策はエスケープ処理である。エのシェルを起動させない対策はOS コマンドインジェクション向けである。
出典：情報処理推進機構「令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問7
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。 -
問88．消費者向けの化粧品販売を行うA 社では，電子メール（以下，メールという）の送受信にクラウドサービスプロバイダB 社が提供するメールサービス（以下，B サービスという）を利用している。A 社が利用するB サービスのアカウントは，A 社の情報システム部が管理している。 〔B サービスでの認証〕 B サービスでの認証は，利用者ID とパスワードに加え，あらかじめ登録しておいたスマートフォンの認証アプリを利用した2 要素認証である。入力された利用者ID とパスワードが正しかったときは，スマートフォンに承認のリクエストが来る。リクエストを1 分以内に承認した場合は，B サービスにログインできる。 〔社外のネットワークからの利用〕 社外のネットワークから社内システム又はファイルサーバを利用する場合，従業員は貸与されたPC から社内ネットワークにVPN 接続する。 〔PC でのマルウェア対策〕 従業員に貸与されたPC には，マルウェア対策ソフトが導入されており，マルウェア定義ファイルを毎日16 時に更新するように設定されている。マルウェア対策ソフトは，毎日17 時に，各PC のマルウェア定義ファイルが更新されたかどうかをチェックし，更新されていない場合は情報システム部のセキュリティ担当者に更新されていないことをメールで知らせる。 〔メールに関する報告〕 ある日の15 時頃，販売促進部の情報セキュリティリーダーであるC 課長は，在宅で勤務していた部下のD さんから，メールに関する報告を受けた。報告を図1 に示す。 ・販売促進キャンペーンを委託しているE 社のF さんから9 時30 分にメールが届いた。 ・F さんとは直接会ったことがある。この数か月頻繁にやり取りもしていた。 ・そのメールは，これまでのメールに返信する形で作成されており，メールの本文には販売キャンペーンの内容やF さんがよく利用する挨拶文が記載されていた。 ・急ぎの対応を求める旨が記載されていたので，メールに添付されていたファイルを開いた。 ・メールの添付ファイルを開いた際，特に見慣れないエラーなどは発生せず，ファイルの内容も閲覧できた。 ・ファイルの内容を確認した後，返信した。 ・11 時頃，D さんのスマートフォンに，承認のリクエストが来たが，B サービスにログインしようとしたタイミングではなかったので，リクエストを承認しなかった。 ・12 時までと急いでいた割にその後の返信がなく不審に思ったので，14 時50 分にF さんに電話で確認したところ，今日はメールを送っていないと言われた。 ・現在までのところ，PC の処理速度が遅くなったり，見慣れないウィンドウが表示されたりするなどの不具合や不審な事象は発生していない。 ・現在，PC は，インターネットには接続しているが，社内ネットワークへのVPN 接続は切断している。 ・D さんはすぐに会社に向かうことは可能で，D さんの自宅から会社までは1 時間掛かる。 図1 D さんからの報告 C 課長は，すぐにPC を会社に持参し，オフラインでマルウェア対策ソフトの定義ファイルを最新版に更新した後，フルスキャンを実施するよう，D さんに指示をした。スキャンを実行した結果，D さんのPC からマルウェアが検出された。このマルウェアは，マルウェア対策ソフトのベンダーが9 時に公開した最新の定義ファイルで検出可能であることが判明した。 A 社では，今回のマルウェア感染による情報セキュリティインシデントの問題点を整理し，再発を防止するための対策を講じることにした。 設問 A 社が講じることにした対策はどれか。解答群のうち，最も適切なものを選べ。
- ア．PC が起動したらすぐに自動的にVPN 接続するように，PC を構成する。
- イ．これまでメールをやり取りしたことがない差出人からメールを受信した場合は，添付されているファイルを開かず，すぐに削除するよう社内ルールに定める。
- ウ．マルウェア定義ファイルは，10 分ごとに更新されるように，マルウェア対策ソフトの設定を変更する。
- エ．マルウェア定義ファイルは，8 時にも更新されるように，マルウェア対策ソフトの設定を変更する。
- オ．メールに添付されたファイルを開く場合は，一旦PC に保存し，マルウェア対策ソフトでスキャンを実行してから開くよう社内ルールに定める。
正解：ウ．マルウェア定義ファイルは，10 分ごとに更新されるように，マルウェア対策ソフトの設定を変更する。
解説：問題点は，マルウェア定義ファイルの更新が1 日1 回，16 時だけだったことである。このマルウェアはベンダーが9 時に公開した定義ファイルで検出できたのに，D さんのPC の定義ファイルは前日16 時のままだったので，9 時30 分に届いたメールの添付ファイルを開いたときに検出できなかった。10 分ごとに更新するようにすれば，9 時に公開された定義ファイルは9 時10 分ごろにはPC に入っており，添付ファイルを開く前に検出できる。よってウ。 エの「8 時にも更新」では，定義ファイルが公開されたのが9 時なので今回の検出には間に合わない。 イは，差出人のF さんとはこれまで何か月もやり取りがあり，しかも過去のメールへの返信の形をとっていたので，このルールでは防げない。 アのVPN 自動接続は，感染を防ぐことにも見つけることにもつながらない。むしろ感染したPC を社内ネットワークへつなぐことになる。 オも，スキャンに使う定義ファイルが前日のままである以上，このマルウェアは検出できないので今回の再発防止にはならない。
出典：情報処理推進機構「令和5年度 情報セキュリティマネジメント試験 科目A・B 公開問題」問15
本試験の問題です。出題当時の法令・制度にもとづいているため、その後の改正で現在の扱いと異なる場合があります。